加強(qiáng)防護(hù)讓內(nèi)網(wǎng)遠(yuǎn)離數(shù)據(jù)泄露

最近，不少單位內(nèi)網(wǎng)數(shù)據(jù)泄漏事件頻繁發(fā)生，它們預(yù)示著單位內(nèi)網(wǎng)在數(shù)據(jù)泄露防護(hù)方面的嚴(yán)重不足。在不惜重金全力應(yīng)對(duì)外網(wǎng)攻擊而筑起單位外網(wǎng)安全的高墻時(shí)，我們有沒(méi)有想過(guò)單位內(nèi)網(wǎng)一個(gè)微不足道的漏洞也能造成整個(gè)網(wǎng)絡(luò)安全防線的崩潰？攘外必先安內(nèi)，不然的話一個(gè)小疏忽、小漏洞就能讓單位所有的安全防護(hù)付諸東流。與病毒木馬、黑客間諜等明確的攻擊相比，內(nèi)網(wǎng)中的數(shù)據(jù)泄露攻擊更有針對(duì)性，其危害性也更大。有鑒于此，我們需要對(duì)內(nèi)網(wǎng)安全加強(qiáng)防護(hù)，讓內(nèi)網(wǎng)遠(yuǎn)離數(shù)據(jù)泄露。

重要數(shù)據(jù)是如何被泄露的

目前，病毒木馬、黑客間諜總是在不停制造安全麻煩，同時(shí)充分利用各種熱門(mén)應(yīng)用和新型技術(shù)，而且他們?cè)诠粜史矫嬉彩窃絹?lái)越重視，他們的攻擊目標(biāo)也是越來(lái)越有針對(duì)性，那就是盜取單位內(nèi)網(wǎng)中的重要數(shù)據(jù)。不過(guò)，黑客間諜攻擊技術(shù)即便如此強(qiáng)大，為數(shù)據(jù)安全帶來(lái)潛在威脅的卻不是黑客間諜，對(duì)許多內(nèi)網(wǎng)數(shù)據(jù)泄露事件進(jìn)行認(rèn)真研究后，或許能看到這樣一個(gè)明顯的現(xiàn)象，那就是絕大多數(shù)內(nèi)網(wǎng)數(shù)據(jù)泄露事件應(yīng)該歸咎于單位員工的自身疏忽，他們當(dāng)中可能也有極少一部分為了經(jīng)濟(jì)利益而向其他需求方甚至單位的競(jìng)爭(zhēng)對(duì)手提供數(shù)據(jù)；但不可否認(rèn)的是，多數(shù)人還是由于安全觀念不強(qiáng)或操作不小心，將帶有重要內(nèi)網(wǎng)數(shù)據(jù)的E-mail錯(cuò)誤發(fā)送出了單位內(nèi)網(wǎng)，也有可能是發(fā)送給了不恰當(dāng)?shù)挠脩簦@種不安全或不小心的舉動(dòng)，最終被黑客間諜利用，從而引發(fā)內(nèi)網(wǎng)數(shù)據(jù)泄露事件的發(fā)生。

對(duì)于很多員工來(lái)說(shuō)，他們壓根就沒(méi)有認(rèn)識(shí)到自己的一次錯(cuò)誤發(fā)送或不小心點(diǎn)擊操作，可能會(huì)給單位帶來(lái)多大的潛在危害和經(jīng)濟(jì)損失。而且在目前網(wǎng)絡(luò)應(yīng)用越來(lái)越普及的時(shí)代，各種Web訪問(wèn)以及電子郵件發(fā)送已經(jīng)成為員工每天學(xué)習(xí)或工作時(shí)必不或卻的操作，員工基于這些應(yīng)用或工具進(jìn)行日常辦公，或者完成一些重要的業(yè)務(wù)流程，正變得越來(lái)越普遍，在這個(gè)過(guò)程中由于自身安全要求不嚴(yán)或操作粗心大意導(dǎo)致的數(shù)據(jù)泄露事件，也正變得越來(lái)越頻繁。

加強(qiáng)加密防護(hù)

為了保護(hù)數(shù)據(jù)安全，我們需要采取措施加強(qiáng)內(nèi)網(wǎng)安全，讓內(nèi)網(wǎng)遠(yuǎn)離數(shù)據(jù)泄露。所謂防護(hù)數(shù)據(jù)泄露，主要是采用一定的技術(shù)措施，來(lái)嚴(yán)格防范企業(yè)內(nèi)網(wǎng)中特定信息資產(chǎn)或重要數(shù)據(jù)，以違反安全規(guī)定的形式悄悄流出單位的一種策略；目前，數(shù)據(jù)泄露防護(hù)主要采用文檔加密技術(shù)，結(jié)合內(nèi)部文檔操作控制機(jī)制、嚴(yán)格管理機(jī)制、安全審計(jì)機(jī)制，來(lái)對(duì)任何狀態(tài)下的信息資產(chǎn)或重要數(shù)據(jù)進(jìn)行有效防范。由于信息或數(shù)據(jù)的生命周期涉及創(chuàng)建、移動(dòng)、存儲(chǔ)、使用、刪除等環(huán)節(jié)（如圖1所示），信息或數(shù)據(jù)的傳遞周期包括端口、網(wǎng)絡(luò)、終端、移動(dòng)存儲(chǔ)介質(zhì)等方面，這兩個(gè)周期中包含到的各個(gè)細(xì)節(jié)都要采取措施進(jìn)行安全防護(hù)，才能避免發(fā)生數(shù)據(jù)泄露現(xiàn)象；在內(nèi)網(wǎng)中部署加密技術(shù)，最直接的是避免了信息資產(chǎn)或重要數(shù)據(jù)被不經(jīng)意地、無(wú)意識(shí)地泄露出去，它解決了重要數(shù)據(jù)自身的保密性問(wèn)題，加密之后即使發(fā)生了數(shù)據(jù)泄露現(xiàn)象，單位也用不著緊張，因?yàn)槠渌耸菬o(wú)法看到加密了的數(shù)據(jù)內(nèi)容；可是，如果過(guò)分迷戀加密技術(shù)，對(duì)信息或數(shù)據(jù)各個(gè)周期中的每個(gè)細(xì)節(jié)進(jìn)行全程加密，不但是不現(xiàn)實(shí)的，而且即使能實(shí)現(xiàn)的話，也會(huì)嚴(yán)重影響內(nèi)網(wǎng)系統(tǒng)的運(yùn)行效率。

通常加密與效率無(wú)法同時(shí)兼得，單位用戶需要想方設(shè)法在加密和效率之間獲取一種平衡。由于加密會(huì)在某種程度上影響系統(tǒng)運(yùn)行效率，那些對(duì)運(yùn)行效率要求較高的系統(tǒng)顯然是不適合部署加密產(chǎn)品的，只有對(duì)一些高度涉密的特定系統(tǒng)或者對(duì)核心部門(mén)的數(shù)據(jù)進(jìn)行加密才能獲得效果。那么對(duì)于一個(gè)單位來(lái)說(shuō)，哪些部門(mén)屬于核心部門(mén)呢？正常來(lái)說(shuō)，一個(gè)單位的組織架構(gòu)中，核心部門(mén)應(yīng)該是類(lèi)似銷(xiāo)售、設(shè)計(jì)、財(cái)務(wù)這些部門(mén)，而在加密安全體系中，我們認(rèn)為凡是接觸到重要數(shù)據(jù)的部門(mén)，都應(yīng)當(dāng)被稱為核心部門(mén)；每個(gè)單位的業(yè)務(wù)流程不同，產(chǎn)生的重要數(shù)據(jù)也就不同，那么參與數(shù)據(jù)流轉(zhuǎn)的部門(mén)也會(huì)有所不同，此時(shí)對(duì)數(shù)據(jù)加密的范圍自然也就不同了；而且，隨著單位工作業(yè)務(wù)的不斷調(diào)整，單位自身的重要數(shù)據(jù)也處于動(dòng)態(tài)調(diào)整中，那么數(shù)據(jù)加密范圍也要跟著調(diào)整。單位究竟應(yīng)該在多大范圍部署加密技術(shù)，這要根據(jù)實(shí)際情況來(lái)決定，因?yàn)閱挝幌到y(tǒng)中的大部分?jǐn)?shù)據(jù)可能都是普通數(shù)據(jù)，涉及到機(jī)密的重要數(shù)據(jù)往往只是一小部分，這些重要數(shù)據(jù)可能集中在某一個(gè)核心部門(mén)，也有可能分散在各個(gè)不同的普通部門(mén)中，這就要求單位在部署加密技術(shù)時(shí)，必要要以重要數(shù)據(jù)為中心，注重技術(shù)方案的可擴(kuò)展性和可變性。此外，無(wú)論單位的加密范圍如何變化，重要數(shù)據(jù)如何調(diào)整，有一樣是一直不變的，那就是部署加密技術(shù)以后，需要及時(shí)進(jìn)行安全審計(jì)；單位要經(jīng)常對(duì)信息加密體系進(jìn)行檢查，以此來(lái)正確評(píng)價(jià)安全效能。

當(dāng)然，我們不要簡(jiǎn)單以為部署了加密技術(shù)后，就能保證萬(wàn)無(wú)一失，因?yàn)榧用芗夹g(shù)只能解決數(shù)據(jù)自身的保密性問(wèn)題，而無(wú)法解決數(shù)據(jù)在傳遞、使用過(guò)程中的泄露風(fēng)險(xiǎn)；盡管加密技術(shù)可以有效提升單位信息系統(tǒng)中重要數(shù)據(jù)的安全性，不過(guò)該技術(shù)也會(huì)對(duì)系統(tǒng)的工作流程帶來(lái)影響，它會(huì)延緩數(shù)據(jù)流動(dòng)效率，因此單位需要在安全方面和效率方面取得平衡。

加強(qiáng)權(quán)限防護(hù)

使用加密技術(shù)保護(hù)重要數(shù)據(jù)，就象為重要數(shù)據(jù)上了鎖，看上去安全效果很好，不過(guò)多數(shù)重要數(shù)據(jù)實(shí)際流轉(zhuǎn)在單位的整個(gè)業(yè)務(wù)流程，如果一股腦地對(duì)所有重要數(shù)據(jù)進(jìn)行加密，不僅會(huì)影響數(shù)據(jù)流轉(zhuǎn)效率，服務(wù)器也不能承擔(dān)如此大的負(fù)荷，而且這種方案并不能防范授權(quán)員工或客戶泄露數(shù)據(jù)。事實(shí)上，多數(shù)單位內(nèi)網(wǎng)中的安全防御系統(tǒng)都沒(méi)有應(yīng)用于單位員工或客戶，這樣一來(lái)權(quán)限用戶泄露數(shù)據(jù)的行為就無(wú)法得到控制；為了阻止權(quán)限用戶對(duì)外泄露有價(jià)值的數(shù)據(jù)信息，很多單位最初試圖對(duì)權(quán)限用戶進(jìn)行全面“封鎖”，禁止他們攜帶移動(dòng)存儲(chǔ)介質(zhì)到公司上班，禁止他們?cè)诰W(wǎng)站論壇或自己博客中發(fā)布與工作有關(guān)的任何重要信息，甚至禁止他們?cè)趩挝簧习嗥陂g隨意訪問(wèn)外網(wǎng)。然而，全面的“封鎖”不但沒(méi)有發(fā)揮出應(yīng)有的效果，而且還激怒了不辭勞苦的員工，他們認(rèn)為這樣的“封鎖”阻礙了他們獲取必要的數(shù)據(jù)信息來(lái)高效完成自己的本職工作。那么我們究竟該如何對(duì)這些權(quán)限用戶的數(shù)據(jù)泄露行為進(jìn)行防護(hù)呢？要實(shí)現(xiàn)這個(gè)防護(hù)目的，需要在單位內(nèi)網(wǎng)中部署信息權(quán)限管理平臺(tái)。

所謂信息權(quán)限管理，就是指對(duì)位于單位局域網(wǎng)防火墻外的數(shù)據(jù)對(duì)象部署嚴(yán)格的用戶訪問(wèn)權(quán)限（如圖2所示），比方說(shuō)，外出辦公的員工可以通過(guò)VPN連接訪問(wèn)或修改單位內(nèi)網(wǎng)中的重要數(shù)據(jù)，但不允許通過(guò)VPN連接下載或發(fā)送文件到自己的移動(dòng)存儲(chǔ)介質(zhì)。信息權(quán)限管理平臺(tái)的工作流程一般是這樣的：有權(quán)訪問(wèn)單位內(nèi)網(wǎng)中重要數(shù)據(jù)的員工或客戶必須先在信息權(quán)限管理平臺(tái)中注冊(cè)，一般是借助網(wǎng)絡(luò)連接通道進(jìn)行注冊(cè)；在對(duì)用戶的身份進(jìn)行驗(yàn)證后，平臺(tái)會(huì)自動(dòng)下載控制代碼到員工或客戶的桌面，日后他們每次讀取或訪問(wèn)位于自己客戶機(jī)中的文件或內(nèi)網(wǎng)中的新文件時(shí)，保存在客戶機(jī)中的控制代碼就能自動(dòng)聯(lián)系信息權(quán)限管理平臺(tái)，對(duì)訪問(wèn)行為進(jìn)行再次驗(yàn)證，之后從平臺(tái)中自動(dòng)下載密鑰來(lái)對(duì)文件執(zhí)行解密操作，同時(shí)對(duì)文件訪問(wèn)行為提出明確控制，允許他們能做什么、不能做什么，例如究竟是寫(xiě)入操作還是讀寫(xiě)操作，是發(fā)送操作還是打印操作，是下載到移動(dòng)存儲(chǔ)介質(zhì)還是保存到本地硬盤(pán)等。

正常來(lái)說(shuō)，要是我們想對(duì)重要數(shù)據(jù)或用戶權(quán)限進(jìn)行精確控制時(shí)，那么就可以在單位局域網(wǎng)防火墻外部來(lái)部署信息權(quán)限管理平臺(tái)。在挑選信息權(quán)限管理平臺(tái)產(chǎn)品時(shí)，除了要保證產(chǎn)品符合數(shù)據(jù)泄露防護(hù)要求外，還要滿足單位員工或外部客戶的要求，具體地說(shuō)表現(xiàn)在兩個(gè)方面：首先要保證產(chǎn)品能夠廣泛支持客戶端設(shè)備，以便讓員工或客戶在使用時(shí)感到方便和滿意，例如允許員工或客戶可以通過(guò)臺(tái)式電腦、筆記本電腦、智能手機(jī)來(lái)訪問(wèn)重要數(shù)據(jù)，甚至使用iPhone來(lái)訪問(wèn)數(shù)據(jù)；其次要確保平臺(tái)產(chǎn)品支持較多的應(yīng)用程序和文件格式，例如，目前很多平臺(tái)產(chǎn)品都支持微軟Office文件和Adobe PDF文件。在選擇好平臺(tái)產(chǎn)品后，就需要對(duì)平臺(tái)產(chǎn)品進(jìn)行正式部署了；當(dāng)然在部署之前，我們最好應(yīng)當(dāng)先建立一個(gè)用來(lái)正確部署平臺(tái)產(chǎn)品的業(yè)務(wù)工作流程，這個(gè)流程應(yīng)該明確按照什么方式、什么步驟來(lái)部署，什么人應(yīng)該負(fù)責(zé)什么位置，同時(shí)還要對(duì)平臺(tái)產(chǎn)品的調(diào)試、管理、報(bào)告等相關(guān)方面進(jìn)行規(guī)范，甚至對(duì)相互之間如何交流、協(xié)作進(jìn)行規(guī)范。在完成平臺(tái)產(chǎn)品的具體部署任務(wù)后，還需要對(duì)整個(gè)信息權(quán)限管理平臺(tái)產(chǎn)品的效果進(jìn)行檢測(cè)，檢測(cè)時(shí)可以從單位網(wǎng)絡(luò)外部嘗試下載或發(fā)送內(nèi)網(wǎng)中的重要數(shù)據(jù)，來(lái)測(cè)試產(chǎn)品的具體控制效果。